El ENS en dos párrafos
El Esquema Nacional de Seguridad (ENS) fija los principios y los requisitos de seguridad de los sistemas de información del sector público español y de las empresas que le prestan servicios. Lo regula el Real Decreto 311/2022, de 3 de mayo, y lo mantiene el Centro Criptológico Nacional (CCN), que publica sus guías de aplicación.
El ENS clasifica cada sistema en una de tres categorías, básica, media o alta, según el perjuicio que causaría un incidente en la información que trata o en los servicios que presta. En la categoría básica basta una autoevaluación; en la media y en la alta, la conformidad la certifica, tras una auditoría, una entidad de certificación acreditada por ENAC (la Entidad Nacional de Acreditación).
Qué exige la categoría alta
La categoría alta es la de los sistemas en los que un incidente causaría un perjuicio muy grave a la organización, a las personas o a los servicios que presta. Respecto a la media, añade medidas y refuerza las que ya había. En la práctica exige, entre otras:
- Un control de acceso estricto, con gestión de identidades y autenticación reforzada en los accesos de administración.
- Cifrado de la información en tránsito y en reposo.
- Registro de la actividad y monitorización continua de los eventos de seguridad.
- Gestión formal de incidentes y planes de continuidad y de recuperación.
- Seguridad física de las instalaciones y redes segregadas.
- Una auditoría de conformidad periódica por una entidad independiente.
Que tu proveedor esté certificado no certifica tu sistema: certifica los sistemas de su alcance. Si tu sistema tiene que cumplir el ENS, tu organización sigue siendo la que lo categoriza y aplica las medidas que le tocan; el proveedor certificado responde de la parte que presta él.
Qué cubre el certificado de sys4net
El ENS es una credencial de sys4net como empresa, y su certificado tiene un alcance concreto: no cubre todos nuestros productos, sino los sistemas de información que dan soporte a estos servicios, según la declaración de aplicabilidad vigente.
- Housing: tus equipos en nuestro centro de datos de Alcantarilla (Murcia).
- Cloud Enterprise, que no tiene página propia en la web: pregúntanos por él.
- Copia de seguridad Cloud: Cloud Backup y las copias con Acronis.
- Monitorización NOC y Monitorización SOC, que tampoco tienen página propia.
El alcance que vale es el que figura en el certificado. El resto de servicios de sys4net se presta desde el mismo centro de datos, pero no está en el alcance del certificado.
Cómo comprobar un certificado ENS
Un certificado de conformidad con el ENS es un documento que firma la entidad de certificación. Antes de fiarte de un sello, pide el certificado y revisa:
- El número del certificado y el titular: tiene que ser la empresa que te presta el servicio.
- La entidad de certificación y su acreditación por ENAC.
- La categoría (básica, media o alta) y el alcance: qué servicios cubre, y que entre ellos esté el que vas a contratar.
- La vigencia: la fecha de concesión y la de expiración.
- Que su titular figure en la relación de entidades certificadas, que se consulta desde la página de certificación del ENS del CCN.
El de sys4net lo tienes entero, con su número, la entidad, el alcance y las fechas: descarga el certificado en PDF. Lo resume nuestra página de certificaciones.
ENS, RGPD y NIS2
El ENS no es la única norma que te puede tocar, y no sustituye a las demás:
- El RGPD regula el tratamiento de datos personales. Un proveedor certificado en el ENS te ayuda a demostrar medidas de seguridad, pero tu organización sigue siendo la responsable del tratamiento, y la relación con el proveedor se regula con un contrato de encargo del tratamiento.
- NIS2 es la directiva europea de ciberseguridad para entidades esenciales e importantes de sectores como la energía, el transporte, la sanidad o las infraestructuras digitales. Pide gestionar los riesgos, también los de la cadena de suministro, y notificar los incidentes significativos.
- El ENS es obligatorio en el sector público y para quienes le prestan servicios, y en el sector privado se usa como referencia de seguridad. Sus medidas son compatibles con lo que piden el RGPD y NIS2.
Esta guía es informativa y no es asesoría legal: para saber qué te exige cada norma en tu caso, consulta con tu asesoría jurídica o con tu delegado de protección de datos.
